CVE-2026-10148
Təsvir
WordPress üçün Booking for Appointments and Events Calendar plagini 2.4.9 daxil olmaqla daha aşağı versiyalarda çox sayda Elementor vidcetləri vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) boşluğuna malikdir. Bu, klassların render() metodlarında 'load_manually' parametrinin giriş təmizlənməsinin və çıxışın qaçırılmasının (escaping) yetərsiz olması səbəbindən baş verir. Bu, Elementor-dən istifadə edə bilən və Kontribyutor (Contributor) səviyyəsində və ya daha yüksək girişi olan autentifikasiya olunmuş hücumçulara səhifələrə ixtiyari veb skriptlər yerləşdirməyə imkan verir və bu skriptlər istifadəçi həmin səhifəyə daxil olduqda icra edilir. Boşluq 2.4.8 versiyasında qismən aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| melograno Booking for Appointments and Events Calendar – Amelia | v ≤ 2.4.9 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.